So speichern Sie Kreditkartendaten in einer Datenbank?

Question

Ich arbeite an einer Anwendung, in der es erforderlich ist, ganze Kreditkartennummern zu speichern. Ist dies mit einer beliebigen API möglich?

Ich habe über Authorize.net 's Customer Payment Profile Option gelesen, aber es gibt nur die letzten 4 Ziffern, wenn Sie versuchen, dieses Zahlungsprofil abzurufen.

Ich habe überprüft auch Braintree 's v.zero API, die Stripe ersten 6 und letzten 4 Stellen gibt und auch seinen Kunden Schaffung Option, aber es gibt auch nur letzten 4 Ziffern.

Wenn keine API verfügbar ist, können Kreditkartennummern nur gespeichert werden, wenn Sie diese mit PCI DSS intern speichern?

Answer 1

Disclosure: Ich arbeite für Stripe

Ja, die einzige Möglichkeit, Kundenkarte zur Speicherung von Informationen im Haus ist so in einem PCI-konformes System zu tun. Jeder Ort, an dem Sie sie speichern und wie Sie damit umgehen, MUSS PCI-konform sein.

Einer der größten Vorteile bei der Verwendung eines Zahlungsprozessors wie Stripe ist, dass sie sich um die (sehr, unglaublich, erschreckend harte) Arbeit der PCI-Compliance kümmern. Als Teil dieser Verpflichtung werden sie nicht jene Kreditkarteninformationen freigeben, die sie unermüdlich arbeiten, um sicher zu bleiben.

Wenn Sie bereit sind, die strengen Anforderungen von PCI-Kompatibilität zu erfüllen, können Sie die Kartennummern PCI-kompatibel sammeln und speichern und die API von Stripe verwenden, um die Karte [0] zu erstellen mach die Ladung. Beachten Sie, dass Sie PCI-konform sein müssen, um die API von Stripe auf diese Weise nutzen zu können, oder dass Sie gegen die Nutzungsbedingungen verstoßen.

Wenn Sie ausführlicher erklären können, was die Anwendung mit den gespeicherten Kreditkartennummern macht, kann jemand vielleicht einen alternativen Ansatz vorschlagen, bei dem die Karteninformationen nicht lokal gespeichert werden müssen.

[0] https://stripe.com/docs/api#create_card-source-number

Answer 2

In keinem Fall Kundenkreditkarteninformationen speichern. Erkläre, warum du denkst, dass du das brauchst; Die Stripe API kann wahrscheinlich tun, was Sie wollen. Wenn Sie beispielsweise einem Kunden, der eine vorherige Zahlung an Sie vorgenommen hat, eine wiederkehrende Gebühr auferlegen möchten, verwenden Sie eine customer subscription.

In keinem Fall Kundenkreditkarteninformationen speichern. Wenn Stripe dich erwischt, werden sie dich wahrscheinlich verbieten. Das ist gut, denn wenn Stripe dich nicht erwischt, werden Kriminelle es tun. Kriminelle mögen die Art, die Kreditkarteninformationen aus Target und Walmart extrahiert.